NIS2 und Hamburger Spedition: Warum 30-Mann-Betriebe indirekt betroffen sind

Inhalt in Kürze

• Direkt betroffen von NIS2 sind in Hamburg vor allem Hafen, HHLA, Reedereien und Energieversorger — ab 50 Mitarbeitenden oder 10 Mio. € Umsatz.
• Indirekt betroffen: Speditionen mit 15 bis 49 Mitarbeitenden, die als Zulieferer für diese Unternehmen fahren, kommissionieren oder IT-Systeme anbinden.
• Rechtsgrundlage: § 30 BSIG (Neufassung durch das NIS2UmsuCG) verpflichtet wichtige und besonders wichtige Einrichtungen, ihre Lieferkette abzusichern — sie reichen die Anforderungen vertraglich weiter.
• Typische Folge: 60- bis 140-Fragen-Security-Assessments, Vertragsanhänge mit technischen Mindeststandards, 24/72-Stunden-Meldepflichten, jährliche Reassessments.

Montag, 9:15 Uhr. Ein Logistik-Kunde schickt Ihrer 32-Mann-Spedition ein 78-Fragen-Security-Assessment. Abgabe in zwei Wochen. Kein Assessment, kein Folgeauftrag. Sie dachten bisher, NIS2 beträfe Ihr Unternehmen nicht — Sie haben ja nur 32 Mitarbeiter. Willkommen in der Lieferketten-Realität: Sie sind indirekt betroffen, auf vertraglichem Weg.

NIS2 in drei Sätzen — direkt vs. indirekt betroffen

Die NIS2-Richtlinie (umgesetzt in Deutschland durch das NIS2UmsuCG, das Ende 2025 in Kraft tritt) unterteilt Unternehmen in „wichtige" und „besonders wichtige Einrichtungen". Direkt betroffen sind Sie in Hamburg ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz in bestimmten Sektoren — darunter Transport/Logistik, Hafenbetrieb und Energie. Alle anderen — auch kleine Speditionen mit 20, 30, 40 Mitarbeitenden — fallen formal nicht unter NIS2. Aber: Wenn Sie Zulieferer für eine direkt betroffene Einrichtung sind, kommt NIS2 trotzdem zu Ihnen — über den Vertrag.

Die rechtliche Konstruktion steht in § 30 BSIG (neue Fassung): Jede direkt betroffene Einrichtung muss ihre Lieferkette absichern. Die Bundesanstalt für Sicherheit in der Informationstechnik (BSI) schreibt dazu auf ihrer NIS2-Infoseite: „Das BSIG verpflichtet Einrichtungen zu umfassenden Risikomanagementmaßnahmen. Dazu zählt auch die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren Anbietern oder Diensteanbietern."

Welche Hamburger Logistik-Spieler sind direkt betroffen?

Welche Zulieferer-Rollen trifft es indirekt?

Die folgenden Rollen werden typischerweise per Vertrag in die NIS2-Anforderungen hineingezogen — auch mit 15 bis 49 Mitarbeitenden:

• Transport & Distribution. Regionale Speditionen, die Container-Vorläufe/Nachläufe oder Fulfillment für Reedereien, HHLA oder große 3PL fahren.
• Fulfillment & Lager. Kleine Lagerbetriebe, die Waren für KRITIS-Kunden umschlagen oder IT-gestützt kommissionieren.
• Zoll- und Speditionssoftware. Firmen, die ATLAS-Anbindungen, IHK-Zertifikate oder Zoll-IT anbieten.
• IT-Dienstleister & Cloud. Laut Docusnap-Analyse landen Audit-Rechte und Meldepflichten „besonders bei Software-Zulieferern, Cloud-Anbietern und IT-Dienstleistern" in den Verträgen.
• Kurier/Express für Hafen-Dienstleistungen. Fahrer, die Zoll-Dokumente, Muster, Ersatzteile in sensible Bereiche liefern.
• Facility, Security & Reinigung mit Zugang zu IT-Räumen oder Leitständen.

Was konkret auf Sie zukommt

1. Security-Questionnaires. VSA (Vendor Security Assessment), SIG Lite, CAIQ-Fragebogen oder branchenspezifisch TISAX-Light. Typisch: 60 bis 140 Fragen zu IAM, Patch-Management, Backups, MFA, Awareness-Schulung, Incident Response. Antworten in 2 bis 4 Wochen.
2. Vertragsanhänge mit technischen Mindeststandards. Häufig: MFA auf allen Admin-Konten, verschlüsselte Backups mit Offline-Kopie, dokumentiertes Patch-Management, Awareness-Schulung für alle Mitarbeitenden, ISMS nach ISO 27001 oder „mindestens BSI-Grundschutz-Basis".
3. Meldepflichten an den Hauptauftraggeber. Bei einem Sicherheitsvorfall müssen Sie den Auftraggeber binnen 24 Stunden vor-informieren (early warning) und innerhalb von 72 Stunden eine erste Meldung abgeben — analog zu den Pflichten, die der Auftraggeber gegenüber dem BSI hat.
4. Jährliche Reassessments. Die Fragebögen kommen nicht einmalig. Manche Kunden auditieren ihre Zulieferer jährlich, manche bei Vertragsverlängerung, manche bei kritischen Schwellen (Systemupgrade, Umzug, Geschäftsführerwechsel).

So bereiten Sie sich vor — sechs Schritte, nach Aufwand sortiert

1. Schnell-Audit: MFA & Backups. Multi-Faktor-Authentifizierung auf allen Admin- und E-Mail-Konten. 3-2-1-Backups mit Offline-Kopie. Das sind die beiden Fragen, an denen kleine Speditionen am häufigsten scheitern — und die am schnellsten fixbar sind.
2. Awareness-Schulung dokumentieren. Einmal pro Jahr, mit Teilnehmerliste, Zertifikat und Quiz-Ergebnis. Phishing-Simulation zweimal jährlich.
3. Incident-Response-Plan aufsetzen. Ein 4-Seiten-Dokument reicht: Wer entscheidet, wer kommuniziert, welche Rufnummern, 24-Stunden- und 72-Stunden-Uhr.
4. Asset- und Dienstleisterliste. Welche Server, welche Cloud-Dienste, welche externen IT-Partner? Für die Antwort auf „Haben Sie ein Verzeichnis Ihrer Datenverarbeitungen?" unverzichtbar.
5. Questionnaires einmal vorab ausfüllen. Die SIG-Lite-Vorlage gibt es frei — im Detail hier im Blog. Einmal sauber beantwortet, spart das pro Kunde Tage.
6. ISO 27001 oder BSI-IT-Grundschutz-Basis als Option prüfen. Für die meisten 30-Mann-Speditionen ist eine Vollzertifizierung übertrieben. Ein dokumentiertes ISMS „auf ISO 27001 Struktur" — ohne Zertifikat — reicht oft. Hier der Unterschied im Detail.

Viele Speditionen in unserer Region sind sauber aufgestellt — MFA läuft, Backups sind ordentlich, die Leute sind geschult. Nur: Niemand hat es je dokumentiert. Wenn dann ein 80-Fragen-Audit kommt, versetzt das die Geschäftsführung in Panik. Dabei ist die Arbeit zu 70 % schon gemacht — sie muss nur noch auf Papier.

Jens HagelGeschäftsführer & Mitgründer frag.hugo

Drei konkrete Hamburg-Szenarien

Szenario 1 — Container-Vorlauf für HHLA. Eine 28-Mann-Spedition aus Moorfleet fährt ISO-Container vom Hinterland nach Altenwerder. HHLA ist als KRITIS-Betreiber direkt NIS2-pflichtig und reicht den Fragebogen durch. Die Spedition muss IT-Sicherheits-Mindeststandards nachweisen, bevor sie weiterhin Slots bucht.

Szenario 2 — Zoll-IT an HPA-Systeme. Ein 12-Mann-IT-Haus aus Bergedorf pflegt die ATLAS-Anbindung einer mittelgroßen Spedition. Die Spedition wiederum ist Zulieferer für eine Reederei. Durch zwei Glieder der Kette kommen NIS2-Fragen bei dem IT-Haus an — über den Umweg „Sicherheit der Vertragspartner von Vertragspartnern".

Szenario 3 — Lagerlogistik für Energieversorger. Ein 40-Mann-Lagerbetrieb in Hamburg-Billbrook lagert Ersatzteile für einen Energieversorger ein. Energie ist NIS2-Sektor „besonders wichtig". Der Energieversorger fordert bei der nächsten Vertragsverlängerung TISAX-Light oder BSI-IT-Grundschutz-Basis als Voraussetzung.

Ist TISAX für Speditionen Pflicht?

TISAX ist kein NIS2-Instrument, sondern ein Branchen-Assessment aus der Automobilindustrie — verbindlich aber für alle, die für VW, BMW, Daimler, Continental fahren oder lagern. In Hamburg trifft das Speditionen, die Automotive-Vorläufe zum Werk in Wolfsburg fahren oder Logistik für Zulieferer übernehmen. Laut VDA ISA Controls basiert TISAX auf ISO 27001 und gliedert sich in drei Module. Für reine Hafen-/Energie-Zulieferer ist eher BSI-IT-Grundschutz oder ISO 27001 relevant.

Ihr nächster Schritt

Häufige Fragen (FAQ)

Bin ich als Spedition mit 30 Mitarbeitern wirklich indirekt von NIS2 betroffen?

Wenn Sie für Hafenbetreiber, große Reedereien, große Logistiker, Energieversorger oder Krankenhäuser fahren oder Leistungen erbringen: ja, mit sehr hoher Wahrscheinlichkeit. Ihr Auftraggeber ist per § 30 BSIG verpflichtet, seine Lieferkette zu auditieren — und gibt das per Vertrag weiter. Bei reinen Endkunden-Aufträgen (Möbelumzug, Privatlieferung) trifft es Sie dagegen nicht.

Was ist ein Zulieferer-Assessment?

Ein Fragebogen oder Vor-Ort-Audit, mit dem der Auftraggeber Ihre IT-Sicherheit prüft. Typische Formate sind SIG Lite (ca. 80 Fragen), VSA (Vendor Security Assessment, 60–140 Fragen) und TISAX-Light (für Automotive). Die Antworten werden bewertet; bei roten Flaggen gibt es Nachforderungen oder Vertragsausschluss.

Muss ich als kleine Spedition ISO 27001 haben?

Nein. ISO 27001 ist für die meisten Speditionen unter 100 Mitarbeitenden wirtschaftlich nicht sinnvoll. Ausreichend ist in den allermeisten Fällen ein dokumentiertes ISMS „in Anlehnung an ISO 27001" oder BSI-IT-Grundschutz-Basis. Das lässt sich in 8 bis 12 Wochen aufbauen — ohne externes Zertifikat.

Ist TISAX für Hamburger Speditionen Pflicht?

Nur für Unternehmen mit Automotive-Kunden (VW, BMW, Daimler, Continental und deren Tier-1-Zulieferer). Für den reinen Hafen-, Energie- oder Allgemeinlogistik-Betrieb ist TISAX weder Pflicht noch üblich — dort ist BSI-IT-Grundschutz oder ISO 27001 das bessere Referenzmodell.

Wie bereite ich mich schnell auf das erste Audit vor?

In dieser Reihenfolge: (1) MFA auf allen Admin- und E-Mail-Konten aktivieren, (2) Backup-Konzept mit Offline-Kopie dokumentieren, (3) Awareness-Schulung nachweisen, (4) Incident-Response-Plan auf 4 Seiten schreiben, (5) Asset-Liste erstellen. Das deckt ca. 70 Prozent aller Fragen in SIG-Lite und ähnlichen Bögen ab.

Was kostet die Umsetzung für eine 30-Mann-Spedition realistisch?

Einmalig ca. 8.000 bis 18.000 Euro Beratung und Dokumentation (je nach Ausgangslage), plus ca. 2.000 bis 5.000 Euro jährlich für Pflege, Schulungen und Audit-Unterstützung. Vollzertifizierung ISO 27001 würde das Budget mindestens verdreifachen — bei den meisten Speditionen dieser Größe weder gefordert noch sinnvoll.